无需木马感染即可监听键盘:新型恶意软件ScanBox问世

14146510615716.jpg!small

通过木马感染才能窃取目标机密的时代一去不复返了。八月问世的键盘记录器ScanBox也许开启了“窃听工具”的新纪元,攻击者将ScanBox恶意Javascript代码植入存在漏洞的网站上,就可以将用户的键盘记录全部截获下来。

ScanBox软件简介

普华永道(PwC)的Chris Doman和Tom Lancaster表示:“ScanBox非常的危险,它不需要像传统恶意软件一样植入计算机硬盘才能窃取机密,它只需要你的浏览器执行javascript代码就能进行键盘记录。”他们在周一的报告中发布了四个不同的攻击案例,每个案例都是由不同的人利用ScanBox发起的攻击。

八月,AlienVault实验室发布了ScanBox,这款工具的主要功能是信息窃取。除了键盘记录功能以外,它还能列举系统中安装的软件列表,包括安全软件、Adobe Flash及Adobe Reader的版本号,Office的版本号,以及Java环境的版本号。这些系统信息会被ScanBox加密,通过后门传到主控服务器上。

AlienVault实验室的老大Jaime Blasco写道:“这是一个非常强大的框架,它会帮助你发现更多的潜在目标,然后更加轻松地发起后续攻击。”

FreeBuf科普:什么是水坑攻击

水坑是由RSA安全公司命名的一种计算机攻击策略。它的受害者通常都是一些特定的组织,如机构组织、工业组织、区域组织。攻击者主要是先观察哪些网站使用并感染了恶意病毒,然后再有针对性的去实施攻击。更多信息请点我

攻击案例枚举

同时进行的不止这些,利用“水坑攻击”向网站植入ScanBox以后,会跟上一系列的后续攻击。然而,受害者并不止于AlienValult实验室于八月发现的那些工业目标。一个月前,该漏洞代码通过code.googlecaches.com的漏洞,攻击了中国的维族激进分子。然后在十月还发现另外两场攻击。其中一场是通过news.foundationssl.com上的漏洞,对美国某个政府网站发起的。另一场则是借助qoog1e.com对一家韩国的酒店网站发起的攻击。

Doman和Lancaster称:

谁才是攻击者

普华永道(PwC)研究员同时还表示,他们发现同一类代码中的实现了不同功能。

比如,在那四个受攻击的网站(PwC周一发布的报告中的四个案例)中运行的同一类恶意代码,A、B两个网站和C、D两个网站的代码实现有着一定区别。在前两个网站中它可能只是独立的代码块,而在另外两个网站上,它得通过插件才能实现。

PwC的报告写道:“我们并没有发现这些黑客之间有什么直接联系,没有使用诸如相同的域名或IP地址等特征。对于都在GoDaddy注册的那些网站,也没有发现什么特别的联系。”

黑客之间的资源分享导致代码特征重叠

“在一些攻击案例中,某些黑客传播分享的资源,其实是由黑客组织通过“水坑攻击”窃取到的。当然,这些资源也有可能是那四个案例幕后的黑客组织;或者是那些目标定位广阔,试图从不同目标上收集恶意代码的黑客组织。”Doman和Lancaster说。

同时他们还认为:“在我们看来,最有可能的是那些黑客组织分享资源导致了特征重叠(小编:分析不出来就明说嘛)。在不同的黑客组织发现他们拥有相同的目标后,他们会共享恶意软件库、人员、甚至有时是同一批主机,所以这会造就许多相似特征。分享如ScanBox之类的框架降低了攻击者的门槛,使攻击者能轻松地达到更好的攻击效果。”